מכסות ומגבלות

כדי לשמור על הקצאת משאבים הוגנת, למנוע עומס יתר על השירות ולעזור לכם לנהל את השימוש במשאבים, Certificate Manager משתמש במכסות ובמגבלות מערכת.

מכסות ומגבלות מערכת דומות, אבל יש ביניהן כמה הבדלים:

• המכסות נקבעות כברירת מחדל, אבל בדרך כלל אפשר לבקש לשנות אותן.
• מגבלות המערכת קבועות ואי אפשר לשנות אותן.

המכסות שלGoogle Cloud עוזרות לשמור על הוגנות ולצמצם עליות חדות בשימוש במשאבים ובזמינות שלהם. הן מגבילות את כמות המשאבים שלGoogle Cloud שאפשר להשתמש בהם בפרויקט ב- Google Cloud . המכסות רלוונטיות למגוון רחב של סוגי משאבים, כולל רכיבי חומרה, תוכנה ורשתות. לדוגמה, המכסות יכולות להגביל את מספר הקריאות ל-API בשירות מסוים, את מספר מאזני העומסים שאפשר להשתמש בהם בו-זמנית בפרויקט או את מספר הפרויקטים שאפשר ליצור. בשורה התחתונה, המכסות מגינות על משתמשיGoogle Cloud בכך שהן מונעות עומס יתר על השירותים, אבל גם עוזרות לשלוט על השימוש במשאבי Google Cloud .

מערכת המכסות ב-Cloud:

• עוקבת אחרי השימוש במוצרים ובשירותים של Google Cloud
• מגבילה את השימוש במשאבים האלה
• כוללת כלי שבאמצעותו אפשר לשלוח בקשות לשינוי המכסות ולשנות אותן אוטומטית

ברוב המקרים, כשאתם מנסים להשתמש ביותר משאבים מהמכסה, הגישה למשאב נחסמת ומה שאתם מנסים לעשות נכשל.

בדרך כלל, המכסות ב- Google Cloud הן ברמת הפרויקט. כלומר, השימוש במשאב מסוים בפרויקט כלשהו לא משפיע על המכסה שלכם בפרויקטים אחרים. ברמת הפרויקט ב- Google Cloud , המכסות משותפות לכל האפליקציות וכתובות ה-IP.

לסקירה כללית על מכסות ב-Cloud

למשאבי Certificate Manager יש גם מגבלות מערכת. שאי אפשר לשנות.

השימוש ב-Certificate Manager כפוף למכסות מהסוגים הבאים:

• מכסות לקצב הגשת בקשות קובעות את המהירות שבה אפשר לשלוח קריאות ל-Certificate Manager API, וגם ליצור משאבים של Certificate Manager ולגשת אליהם.

• מכסות המשאבים קובעות את הכמות הכוללת של משאבי Certificate Manager שאפשר ליצור בפרויקט ב- Google Cloud .

במאמרי העזרה בנושא מכסות ב-Cloud מוסבר איך עובדים עם מכסות, כולל איך מגדילים אותן ואיך מגדירים מעקב והתראות לגבי מדדי המכסות.

מכסות לקצב שליחת בקשות

בטבלה הבאה מפורטות המכסות לקצב הגשת הבקשות של Certificate Manager.

פריט	מכסת ברירת המחדל	תיאור
בקשות API	300 לדקה	כל הקריאות ל-Certificate Manager API
בקשות קריאה	300 לדקה	GET ו-LIST קריאות ל-Certificate Manager API
בקשות כתיבה	300 לדקה	קריאות CREATE,‏ PATCH ו-DELETE ל-Certificate Manager API

מכסות ומגבלות של משאבים

בטבלה הבאה מפורטות המכסות והמגבלות של אישורים ב-Certificate Manager.

פריט	מכסות ומגבלות שמוגדרות כברירת מחדל	תיאור
אישורים שמנוהלים על ידי Google	1000	מספר האישורים הכולל שמנוהלים על ידי Google בפרויקט Google Cloud
אישורים אזוריים שמנוהלים על ידי Google	100	המספר הכולל של אישורים אזוריים בניהול Google לכל אזור בפרויקט Google Cloud
אישורים בניהול עצמי	1000	המספר הכולל של אישורים בניהול עצמי בפרויקט ב- Google Cloud
אישורים אזוריים בניהול עצמי	100	המספר הכולל של אישורים אזוריים בניהול עצמי לכל אזור בפרויקט Google Cloud
מפות אישורים	100	המספר הכולל של מפות האישורים בפרויקט Google Cloud
רשומות מיפוי לאישורים	5000	המספר הכולל של רשומות המיפוי לאישורים בפרויקט Google Cloud
משאבים שמשויכים לאישור	מגבלה: 100	המספר הכולל של משאבים, כמו רשומות מיפוי לאישורים ושרתי proxy לחלוקת העומס, שמשויכים לאישור.
אישורים לכל רשומת מיפוי לאישורים	מגבלה: 4	המספר הכולל של אישורים שאפשר לצרף לרשומת מיפוי לאישורים
אישורים לכל שרת proxy לחלוקת העומס	מגבלה: 100	המספר הכולל של אישורים שאפשר לצרף ישירות לשרת proxy לטירגוט HTTPS
מפת אישורים לכל שרת proxy לחלוקת העומס	מגבלה: 1	המספר הכולל של מפות אישורים שאפשר לצרף לשרת proxy ל-HTTPS לטירגוט
הרשאות DNS	1000	המספר הכולל של הרשאות DNS בפרויקט Google Cloud
הרשאות DNS אזוריות	300	המספר הכולל של הרשאות DNS אזוריות לכל אזור בפרויקט Google Cloud
הגדרות להנפקת אישורים	100	המספר הכולל של הגדרות הנפקת האישורים בפרויקט Google Cloud
הגדרות אזוריות להנפקת אישורים	5	המספר הכולל של הגדרות אזוריות להנפקת אישורים בכל אזור בפרויקט Google Cloud
גודל הגדרת האמינות	10000	הגודל הכולל של כל הגדרות האמון הגלובליות בפרויקט Google Cloud . בקטע חישוב הגודל של הגדרת האמינות מוסבר איך הגודל מחושב.
גודל הגדרת האמינות האזורית	10000	הגודל הכולל של הגדרות האמון האזוריות בכל אזור בפרויקט Google Cloud . בקטע חישוב הגודל של הגדרת האמינות מוסבר איך הגודל מחושב.
סוגי מפתחות נתמכים לאישורים בניהול עצמי	RSA-2048 RSA-3072 RSA-4096 ECDSA P-256 ECDSA P-384
סוג המפתח הנתמך לאישורים שמנוהלים על ידי Google ומהימנים באופן ציבורי	RSA-2048
סוגי מפתחות נתמכים לאישורים שמנוהלים על ידי Google ומהימנים באופן פרטי	RSA-2048 ECDSA P-256

מגבלות על אורך שם הדומיין באישורים שמנוהלים על ידי Google

בטבלה הבאה מפורטות מגבלות האורך של שמות דומיינים, שספציפיות לאישורים שמנוהלים על ידי Google במנהל האישורים. אי אפשר להגדיל את המכסות האלה.

פריט	מגבלת תווים
דומיין יחיד עם הרשאה של מאזן עומסים	253
דומיין יחיד באמצעות הרשאת DNS	237
דומיין יחיד שמשתמש בהרשאת DNS לכל פרויקט עם רשות אישורים של Google	220
האורך הכולל של כל הדומיינים באישור (ללא קשר לשיטת ההרשאה)	6300

מגבלות נוספות על משאבים לאישורים שמנוהלים על ידי Google

בטבלה הבאה מפורטות מגבלות נוספות על משאבים, שספציפיות לאישורים שמנוהלים על ידי Google ב-Certificate Manager. אי אפשר להגדיל את המגבלות האלה.

פריט	הגבלה	תיאור
דומיינים לכל אישור עם הרשאה של מאזן עומסים	5	המספר המקסימלי של דומיינים שמותרים לכל אישור בניהול Google עם הרשאה של מאזן עומסים.
דומיינים לכל אישור עם הרשאת DNS	100	מספר הדומיינים המקסימלי שמותר לכל אישור בניהול Google עם הרשאת DNS.

מכסות נוספות לבקשות לפעולות של Public CA

המכסות לפעולות של Public CA לא תלויות במכסות של פעולות ב-Certificate Manager על אישורים שמנוהלים על ידי Google. הן גם לא תלויות במכסות אחרות שחלות על פעולות שמתבצעות במוצרים אחרים של Google Cloud על אישורים בניהול Google.

מנהל האישורים אוכף את מגבלות המכסות שמפורטות בקטע הזה לפעולות של רשות אישורים ציבורית. חשוב לזכור את ההנחיות הבאות:

• Certificate Manager יכול להגביל את קצב הבקשות לדקה.
• Certificate Manager יכול להחזיר קוד תגובה HTTP 429, שמבקש מלקוח ACME לנסות שוב את הבקשה אחרי המתנה של כמה שניות. לקוחות ACME צריכים לתמוך בקוד התגובה הזה ולכבד את הכותרת Retry-After ש-Certificate Manager שולח עם התגובה.

לסביבת הייצור ולסביבת ה-staging יש את אותן מגבלות, אבל הן לא תלויות זו בזו. בקשות לסביבת הייצור ולסביבת ה-staging צורכות רק את המכסות שלהן.

מכסות לבקשות של רשות אישורים ציבורית

בטבלה הבאה מפורטות מכסות הבקשות של Public CA שחלות על פעולות ניהול אישורים של ACME.

הערה: מנהל האישורים מחיל מכסות ברמת הפרויקט ב- Google Cloud . אם יוצרים שני חשבונות ACME או יותר באותו Google Cloud פרויקט, החשבונות האלה חולקים את מכסות הבקשות.

מכסה	מגבלת ברירת המחדל	תיאור
בקשת אישור (newOrder)	‫100 לשעה	המספר המקסימלי של בקשות לאישורים חדשים
יצירת חשבון ACME (newAccount)	‫25 לדקה, 100 לשעה	המספר המקסימלי של בקשות ליצירת חשבון
יצירת הרשאה (newAuthz)	‫300 לשעה	המספר המקסימלי של בקשות ליצירת הרשאה
דגימת הרשאה (authz)	‫600 לדקה	מספר מקסימלי של בקשות סקר הרשאה
אימות או דגימה של אתגר (challenge)	‫100 לדקה	המספר המקסימלי של בקשות לאימות או לסקרים
הנפקת אישור סקר (cert)	‫50 לדקה	המספר המקסימלי של בקשות דגימה להנפקת אישורים
ביטול אישור (revokeCert)	‫25 לכל 30 שניות	המספר המקסימלי של בקשות לביטול אישורים

הגדרת האמון

אי אפשר להגדיל את המגבלות שמפורטות כאן, והן חלות על מאזני עומסים קלאסיים של אפליקציות ועל מאזני עומסים גלובליים חיצוניים של אפליקציות.

פריט	מכסות ומגבלות	הערות
מספר מאגרי האישורים	מגבלה: 1	המגבלה הזו היא לכל משאב של TrustConfig.
המספר המשולב של ישויות עוגן אמינות ואישורי ביניים	מגבלה: 200	המגבלה הזו היא לכל מאגר אישורים.
מספר אישורי הביניים	מגבלה: 100	המגבלה הזו היא לכל מאגר אישורים.
מספר אילוצי השמות שמותרים במהלך האימות של אישורי הבסיס ואישורי הביניים	מגבלה: 10
אישורי ביניים שכוללים את אותו נושא ואותו מפתח ציבורי של הנושא	מגבלה: 10	המגבלה הזו היא לכל מאגר אישורים.
עומק שרשרת האישורים	מגבלה: 10	העומק המקסימלי של שרשרת אישורים, כולל אישורי הבסיס ואישורי הלקוח.
מספר הפעמים שאפשר להעריך אישורים זמניים כשמנסים לבנות את שרשרת האמון	מגבלה: 100
סוגי המפתחות הנתמכים	RSA-2048 RSA-3072 RSA-4096 ECDSA P-256 ECDSA P-384
מספר האישורים ברשימת ההיתרים (allowlistedCertificates)	מגבלה: 500

חישוב הגודל של הגדרת האמינות

המכסות הבאות עוקבות אחרי מגבלת הגודל של הגדרות האמון:

• ‫certificatemanager.googleapis.com/trust-config-size להגדרות של אמינות גלובלית.
• ‫certificatemanager.googleapis.com/regional-trust-config-size להגדרות אמינות אזוריות.

Certificate Manager קובע את ניצול המכסה של הגדרת אמון על סמך הגודל הכולל שלה, ומחשב אותו לפי הכללים הבאים:

1. קובצי PEM של אישורים: כל אישור PEM שאתם כוללים כישות עוגן אמינה או כאישור CA ביניים, משתמש ביחידת מכסה אחת לכל 1KB, מעוגל כלפי מעלה ל-1KB הקרוב.

2. אישורים ברשימת ההיתרים: כל 32 אישורים ברשימת ההיתרים (מעוגלים כלפי מעלה) משתמשים ביחידה אחת של מכסה.

3. מתחמי אמון (trust domains) של Secure Production Identity Framework for Everyone‏ (SPIFFE): כל 4 מתחמי אמון של SPIFFE (מעוגלים כלפי מעלה) משתמשים ביחידה אחת של מכסה.

4. תקורה: כל הגדרת אמון משתמשת בתקורה קבועה של 2 יחידות מכסה, גם אם הגדרת האמון ריקה.

דוגמאות

• משאב TrustConfig ריק משתמש ב-2 יחידות מהמכסה.
• משאב קטן של TrustConfig (אישור יחיד של 3KB) משתמש ב-5 יחידות מהמכסה (3 לאישור + 2 לתקורה).
• משאב TrustConfig מורכב משתמש ב:
  • ‫4 אישורים בגדלים 3.5KB,‏ 5KB,‏ 4.5KB ו-6KB: ‏(4 + 5 + 5 + 6) = 20 יחידות של מכסה.
  • ‫10 אישורים ברשימת ההיתרים: יחידה אחת של מכסה.
  • ‫5 מתחמי אמון (trust domains) של SPIFFE: ‏2 יחידות מכסה.
  • תקורה קבועה: 2 יחידות מכסה.
  • ניצול המכסה הכולל: ‎20 + 1 + 2 + 2 = 25 יחידות מכסה.